digest(data text, type text) returns bytea
                digest(data bytea, type text) returns bytea
            

计算给定的data的二进制哈希值。 type是要使用的算法。 标准算法有md5、sha1、sha224、 sha256、sha384和sha512。 如果使用 OpenSSL 编译了 ltcrypto，则可以使用更多算法，详见 Table K.47。

如果您想将哈希值作为十六进制字符串返回，请对结果使用encode()函数。例如：

CREATE OR REPLACE FUNCTION sha1(bytea) returns text AS $$
    SELECT encode(digest($1, 'sha1'), 'hex')
$$ LANGUAGE SQL STRICT IMMUTABLE;

                hmac(data text, key text, type text) returns bytea
                hmac(data bytea, key bytea, type text) returns bytea
            

计算带有密钥key的data的哈希MAC。 type与 digest()中的一致。

这类似于digest()，但只有知道密钥才能重新计算哈希值。 这可以防止有人篡改数据并更改哈希值以匹配。

如果密钥大于哈希块大小，它将首先被哈希，然后使用哈希结果作为密钥。

                crypt(password text, salt text) 返回 text
            

计算password的crypt(3)格式哈希值。 当存储新密码时，需要使用gen_salt()生成新的salt值。 要检查密码，请将存储的哈希值作为salt传递，并测试结果是否与存储的值匹配。

设置新密码的示例：

UPDATE ... SET pswhash = crypt('new password', gen_salt('md5'));

验证的示例：

SELECT (pswhash = crypt('entered password', pswhash)) AS pswmatch FROM ... ;

如果输入的密码正确，则返回true。

                gen_salt(type text [, iter_count integer ]) 返回 text
            

为crypt()生成一个新的随机盐字符串。 盐字符串还告诉crypt()使用哪个算法。

type参数指定哈希算法。 接受的类型包括：des，xdes，md5和 bf。

iter_count参数允许用户指定迭代次数（对于具有迭代次数的算法）。 迭代次数越高，哈希密码所需的时间就越长，因此破解密码所需的时间也越长。 但是，如果迭代次数过高，计算哈希值所需的时间可能会长达数年，这在实际中是不可行的。 如果省略iter_count参数，则使用默认的迭代次数。 iter_count参数的允许值取决于算法，并在 Table K.45中显示。

对于xdes，还有一个额外的限制，即迭代次数必须是奇数。

为了选择适当的迭代次数，请考虑原始的DES crypt是为每秒4个哈希值的硬件设计的。 每秒慢于4个哈希值可能会降低可用性。 每秒快于100个哈希值可能太快了。

Table K.46提供了不同哈希算法相对较慢的概述。 该表格显示了尝试在8个字符密码中所有字符组合所需的时间，假设密码仅包含小写字母，或大写和小写字母和数字。 在crypt-bf条目中，斜杠后面的数字是gen_salt的 iter_count参数。

注意事项：

请注意，“尝试所有组合”并不是一项现实的任务。通常密码破解是通过使用包含常规单词和各种变形的字典来完成的。因此，即使是类似单词的密码也可能比上述数字快得多被破解，而一个6个字符的不像单词的密码可能会逃脱破解。也可能不会。

                pgp_sym_encrypt(data text, psw text [, options text ]) 返回 bytea
                pgp_sym_encrypt_bytea(data bytea, psw text [, options text ]) 返回 bytea
            

使用对称PGP密钥psw加密data。参数options 可以包含选项设置，如下所述。

                pgp_sym_decrypt(msg bytea, psw text [, options text ]) 返回 text
                pgp_sym_decrypt_bytea(msg bytea, psw text [, options text ]) 返回 bytea
            

解密对称密钥加密的 PGP 消息。

使用 pgp_sym_decrypt 解密 bytea 数据是被禁止的。 这是为了避免输出无效的字符数据。使用 pgp_sym_decrypt_bytea 解密原始文本数据是可以的。

options 参数可以包含以下描述的选项设置。

                pgp_pub_encrypt(data text, key bytea [, options text ]) 返回 bytea
                pgp_pub_encrypt_bytea(data bytea, key bytea [, options text ]) 返回 bytea
            

使用公共 PGP 密钥 key 加密 data。 给予此函数一个私钥将会产生错误。

options 参数可以包含以下描述的选项设置。

                pgp_pub_decrypt(msg bytea, key bytea [, psw text [, options text ]]) 返回 text
                pgp_pub_decrypt_bytea(msg bytea, key bytea [, psw text [, options text ]]) 返回 bytea
            

解密一个公钥加密的消息。 key 必须是用于加密的公钥对应的私钥。 如果私钥受到密码保护，则必须在 psw 中提供密码。 如果没有密码，但您想指定选项，则需要提供空密码。

使用 pgp_pub_decrypt 解密 bytea 数据是被禁止的。 这是为了避免输出无效的字符数据。使用 pgp_pub_decrypt_bytea 解密原始文本数据是可以的。

options 参数可以包含以下描述的选项设置。

                pgp_key_id(bytea) 返回 text
            

pgp_key_id 提取 PGP 公钥或私钥的密钥 ID。 如果给定加密消息，则提供用于加密数据的密钥 ID。

它可以返回两个特殊的密钥 ID：

请注意，不同的密钥可能具有相同的 ID。这是罕见但正常的事件。客户端应用程序应尝试使用每个密钥进行解密，以查看哪个适合 — 就像处理 ANYKEY 一样。

                armor(data bytea [ , keys text[], values text[] ]) 返回 text
                dearmor(data text) 返回 bytea
            

这些函数将二进制数据封装/解封为 PGP ASCII-armor 格式，这基本上是带有 CRC 和附加格式的 Base64。

如果指定了 keys 和 values 数组，则为每个键/值对向装甲格式添加一个 armor header。 两个数组必须是单维数组，并且它们的长度必须相同。键和值不能包含任何非 ASCII 字符。

                pgp_armor_headers(data text, key out text, value out text) 返回 setof record
            

pgp_armor_headers() 从 data 中提取装甲头。返回值是具有两个列（键和值）的行集。如果键或值包含任何非 ASCII 字符，则将其视为 UTF-8。

选项的命名方式类似于 GnuPG。选项的值应在等号后给出；用逗号将选项分开。例如：

pgp_sym_encrypt(data, psw, 'compress-algo=1, cipher-algo=aes256')

除了 convert-crlf 之外的所有选项都仅适用于加密函数。解密函数从 PGP 数据获取参数。

最有趣的选项可能是 compress-algo 和 unicode-mode。 其余选项应具有合理的默认值。

生成新密钥：

gpg --gen-key

首选密钥类型为 “DSA 和 Elgamal”。

对于 RSA 加密，您必须创建 DSA 或 RSA 仅签名密钥作为主密钥，然后使用 gpg --edit-key 添加 RSA 加密子密钥。

列出密钥：

gpg --list-secret-keys

以 ASCII-armor 格式导出公钥：

gpg -a --export KEYID > public.key

以 ASCII-armor 格式导出秘密密钥：

gpg -a --export-secret-keys KEYID > secret.key

在将这些密钥提供给 PGP 函数之前，您需要使用 dearmor() 对其进行转换。或者，如果您可以处理二进制数据，则可以从命令中删除 -a。

有关更多详细信息，请参见 man gpg，GNU 隐私手册 和其他文档 https://www.gnupg.org/。

ltcrypto 根据主LightDB configure脚本的结果来进行配置。 影响它的选项有 --with-zlib 和 --with-openssl。

当使用zlib编译时，PGP加密函数可以在加密之前压缩数据。

当使用OpenSSL编译时，将会有更多的算法可用。 同时，由于OpenSSL拥有更优化的BIGNUM函数，公钥加密函数将会更快。

当使用 OpenSSL 3.0.0及更高版本进行编译时， 必须在 openssl.cnf 配置文件中激活旧的提供程序，以便使用旧的密码算法，如DES或Blowfish。

注意：

正如在SQL中的标准操作，如果任何一个参数为NULL，所有函数都会返回NULL。 这可能会在不小心使用时造成安全风险。

所有 ltcrypto 函数在数据库服务器内运行。 这意味着所有数据和密码在 ltcrypto 和客户端应用程序之间以明文形式传输。 因此，您必须：

如果您不能，那么最好在客户端应用程序内部进行加密。

该实现不抵御侧信道攻击。 例如，ltcrypto 解密函数完成所需的时间在给定大小的密文之间会变化。